Wstrzyknięte polecenie przechodzi między agentami AI połączonymi protokołem MCP

Niezależny badacz Syed Anas Mohiuddin pokazał, że polecenie wstrzyknięte do jednego agenta AI przechodzi do kolejnych agentów połączonych protokołem MCP (Model Context Protocol), bo agenci w sieci firmowej ufają sobie nawzajem. W ciągu ostatnich pięciu miesięcy Google i cztery inne organizacje przyznały, że mają takie podatności.

Atak to odmiana prompt injection wymierzona nie w sam model językowy, lecz w konkretnego agenta, na przykład do tłumaczeń albo analizy danych. Zabezpieczenia w takich agentach są słabe albo nie ma ich wcale, więc instrukcja płynie dalej łańcuchem. Serwery MCP przechowują dane uwierzytelniające każdego agenta, dlatego polecenie, które model odrzuciłby wprost, zostaje wykonane. Skutkiem może być wyprowadzenie zawartości baz danych oraz poufnych informacji firmowych i osobowych.

Kogo dotyczy

Organizacje, które łączą agentów AI protokołem MCP w sieci wewnętrznej. Badacz testował agentów m.in. Google, JP Morgan Chase, Weviate, Rapid7, francuskiej międzyresortowej dyrekcji ds. cyfryzacji oraz rządu federalnego USA.